Die Google Threat Intelligence Group hat am 8. September 2026 einen neuen Bericht veröffentlicht, der den Übergang von einzelnen Prompts zu agentengestützten Angriffen beschreibt. Das deutlichste Beispiel betrifft einen mutmaßlich finanziell motivierten Akteur. Nach der Kompromittierung einer Cloud-Umgebung nutzte er laut Google einen KI-Coding-Assistenten, einen Prompt und vorbereitete Anweisungsdateien, um in weniger als sechs Stunden einen massenhaften Diebstahl von Zugangsdaten zu planen und auszuführen.
Der Agent verwaltete nach Angaben von Google Schwachstellenscans, Fehlerbehebung und IP-Wechsel ohne dauernde menschliche Eingriffe. Der Bericht beschreibt außerdem Schadsoftware, die bösartige Dateien in Projektverzeichnissen von Coding-Assistenten ablegte, Start-Hooks änderte und Anweisungen enthielt, die KI-Werkzeuge manipulieren oder Sicherheitsscanner zum Abbruch bewegen sollten.
Das sind Beobachtungen von Google und Mandiant, keine vollständige Messung weltweiter Aktivitäten. Unabhängige Sicherheitsberichte bestätigen die Veröffentlichung und ihre zentralen Beispiele. Die zugrunde liegende Telemetrie bleibt jedoch unter Kontrolle von Google und ist anhand des öffentlichen Artikels nicht vollständig reproduzierbar.
Der Ablauf änderte sich stärker als die Werkzeuge
Automatisierung bei Cyberangriffen ist nicht neu. Neu ist in diesem Bericht die Verbindung mehrerer Entscheidungen in einem Agentenablauf. Das System konnte einen Scan fortsetzen, auf Fehler reagieren, Infrastruktur wechseln und Zugangsdaten sammeln, ohne dass ein Mensch jeden Schritt einzeln steuerte.
Diese geringere Verzögerung verändert die Abwehr. Eine Richtlinie, die auf die manuelle Prüfung jedes Alarms wartet, kann zu langsam sein, wenn ein Anweisungssatz mehrere Aktionen auslöst. Kontrollen werden an Identitäts-, Netzwerk-, Werkzeug- und Aufgabengrenzen benötigt. Verhalten außerhalb des erlaubten Zwecks sollte automatisch gestoppt werden.
Google sagt, der Akteur habe aus kompromittierter Cloud-Infrastruktur gearbeitet. Dadurch erschien der Verkehr unter legitimen Adressen und einfache Reputationsprüfungen wurden schwächer. Cloud-Konten, Rechenkontingente, Dienstzugänge und KI-Abonnements sind daher wertvolle Angriffsziele und nicht nur Hilfsmittel für Entwickler.
Projektanweisungen wurden Teil der Angriffsfläche
Der Bericht verbindet einen als UNC6780 geführten Lieferkettenakteur mit mehreren Techniken gegen KI-Entwicklungswerkzeuge. Google zufolge veröffentlichte die Gruppe bösartige Forks von MCP-Servern, veränderte versteckte Projektordner von Coding-Assistenten und ergänzte Startbefehle, die beim Öffnen eines Arbeitsbereichs ausgeführt werden konnten.
Die Schadsoftware soll außerdem gegnerische Anweisungen in Quellcodekommentaren platziert haben, um Sicherheitsablehnungen von LLM-Scannern auszulösen. Das beweist nicht, dass jeder Scanner scheitert. Google erklärt, eigene Schutzsysteme hätten reagiert und man habe Maßnahmen gegen die Kampagnen ergriffen. Das Beispiel zeigt dennoch, wie eine Ablehnung zur Umgehung werden kann, wenn der Scanner vor der Prüfung des darunterliegenden Codes stoppt.
Vertrauen in Repositories muss deshalb mehr als Abhängigkeiten umfassen. Teams sollten versteckte Agentenverzeichnisse, Hook-Dateien, Aufgabenanweisungen, CI-Abläufe, MCP-Definitionen und Änderungen an Trusted-Publisher-Konfigurationen prüfen. Maetras Leitfaden zu Prompt-Injection-Kontrollen für KI-Agenten erklärt, warum nicht vertrauenswürdige Anweisungen vor einem werkzeugfähigen Modell kontrolliert werden müssen.
Abwehrkontrollen müssen Agentengeschwindigkeit aushalten
Der Bericht stützt fünf unmittelbare Maßnahmen:
- Jede Agentenidentität erhält nur die für ihre Aufgabe nötigen Rechte.
- Nicht genehmigte Änderungen an Anweisungsdateien, Hooks, CI-Abläufen und MCP-Konfigurationen werden blockiert.
- Der Netzausgang von Coding-Agenten und Scannern wird auf notwendige Ziele begrenzt.
- Ungewöhnlicher Zugriff auf Zugangsdaten, schnelle IP-Wechsel, neue Cloud-Lasten und gelöschte Ablaufprotokolle werden erkannt.
- Vorschlag, Richtlinienentscheidung, Ausführung und nachgelagerte Wirkung werden für Untersuchungen erhalten.
Diese Kontrollen müssen zusammenwirken. Ein sicherer Prompt-Filter gleicht keine überprivilegierte Cloud-Identität aus. Ein Audit-Protokoll hilft wenig, wenn der Angreifer es mit denselben Rechten löschen kann, die der Agent verwendet.
Der Leitfaden zur Laufzeitsicherheit von KI-Agenten verbindet Prompts, Werkzeugaufrufe, Zugangsdaten und Nachweise. Für diese Bedrohung lautet die Kernfrage, ob eine kompromittierte Datei oder Identität einen langfristig arbeitenden Agenten unbemerkt umlenken kann.
Was belegt ist und was offen bleibt
Google berichtet von Tausenden kompromittierten Zugangsdaten und von einem getrennten, offen erreichbaren Befehlsserver, der später mehr als 23.800 gestohlene Geheimnisse verwaltete. Diese Zahlen bleiben Google zugeschrieben. Der öffentliche Bericht nennt nicht alle Opfer, enthält keine vollständige Stichprobe und zeigt nicht, wie häufig autonome Angriffsrahmen insgesamt sind.
Er unterscheidet auch Beobachtung und Experiment. Einige Gruppen versuchten, automatisierte Penetrationstest-Agenten zu entwerfen. Google deaktivierte nach eigener Aussage zugehörige Ressourcen, bevor daraus ein beobachteter Live-Betrieb wurde. Bei Informationsoperationen sah Google Interesse an interaktiven Bots, aber keinen erfolgreichen Einsatz.
Diese Präzision ist wichtig. Der Bericht belegt einen realen, agentengestützten Zugangsdiebstahl. Er belegt nicht, dass autonome Agenten den Cybercrime bereits dominieren.
Maetra-Analyse
Die wichtigste Lehre lautet: Aufgabenanweisungen sind ausführbarer Sicherheitskontext. Eine Datei wie AGENTS.md, ein versteckter IDE-Ordner oder eine MCP-Konfiguration kann einen Agenten ebenso beeinflussen wie ein Nutzer-Prompt. Diese Elemente brauchen Verantwortliche, Änderungsverlauf, Prüfregeln und Laufzeitkontrollen.
Teams sollten festlegen, was jeder Entwicklungs- oder Abwehragent erreichen darf, welche Werkzeuge und Ziele zulässig sind und welche Nachweise die Wirkung bestätigen. Änderungen an Aufgaben, Identität, Netzweg oder Repository-Vertrauen sollten eine neue Bewertung auslösen und keine alte Autorität übernehmen.
Agentengeschwindigkeit hilft Angreifern und Verteidigern. Der sicherere Vorteil entsteht durch enge Rechte, deterministische Grenzen, unabhängige Überwachung und Aufzeichnungen, die ein Angreifer nicht aus dem Ausführungskontext des Agenten heraus verändern kann.